Starke Passwörter, die keine sind

So bewertet der Passwort-Check dann auch das Passwort 11Golem.de!! als stark. Spoiler: Ist es nicht!

Um es zu knacken, brauche ein Rechner 44 Jahre, behauptet das Ministerium für Digitales. Das glaube ich kaum. Bei einem Golem.de-Redakteur wäre das Passwort zumindest unter den Top-50, die ich spontan ausprobieren würde. Immerhin bedient es gängige menschliche Passwortfehler: Es wird ein Begriff verwendet, der im Kontext des Nutzers, des Dienstes oder des Arbeitgebers steht, der am Ende und am Anfang mit Sonderzeichen angereichert wird. Fertig ist das nicht sichere Passwort.

Solche Passwörter muss man natürlich nicht händisch knacken, vielmehr gibt es Software, die genau nach solchen Kontexten zu einer Person fragt und automatisch entsprechende Passwortvarianten mit Sonderzeichen am Anfang, Ende oder als Leetspeak generiert.

Übrigens erkennt der Passwort-Check Golem gar nicht als bekannten Begriff, sondern nur den Wortteil Gol als Name. Wäre auch Letzteres nicht der Fall, würde bereits 1Golem.de! als starkes Passwort gewertet.

Passwortmanager und Schlangenöl

Immerhin rät die Webseite zu einem Passwortmanager und nennt die Open-Source-Software Keepass als Beispiel. Statt sich ein Passwort auszudenken, kann man es dort einfach zufällig generieren lassen und braucht es sich nicht einmal zu merken - das übernimmt der Passwortmanager. Ein guter Tipp.

Allerdings fehlt ein Hinweis auf Zwei-Faktor-Authentifizierung (2FA), mit der Konten zusätzlich geschützt werden können. Zudem fehlt - wie bereits erwähnt - ein prominenter Hinweis darauf, dass Passwörter eine einmalige Angelegenheit sein sollten und nicht das gleiche Passwort bei verschiedenen Diensten verwendet werden sollte. Denn nach einem Datenleck bei einem der Dienste wird das supersichere Passwort möglicherweise geleakt und von Angreifern auch bei anderen Diensten ausprobiert. Eine reale Gefahr.

Ebenfalls umstritten ist der Hinweis auf eine aktuelle Antivirensoftware, welche den Rechner und damit die Passwörter schützen soll. Doch diese haben allzu oft selbst mit Sicherheitslücken zu kämpfen und bringen die Nutzer nicht selten in Gefahr. Unter Sicherheitsexperten gelten die Programme daher als wirkungsloses Schlangenöl, das für teuer Geld oder gegen Kryptomining oder Nutzerdaten verscherbelt wird.

Passwortchecken - aber richtig

Statt auf Passwortrichtlinien zu setzen, ist es sinnvoller zu prüfen, ob ein Passwort bereits öffentlich bekannt ist. Eine entsprechende Liste mit knapp 850 Millionen gehashten Passwörtern gibt es auf der Webseite des Leak-Checkers Have I been Pwned. Darin enthalten sind die Passwörter etlicher umfangreicher Datenlecks, die teils öffentlich verfügbar sind.

Entsprechend können Webseitenbetreiber alle Passwörter, die bereits einmal Teil eines Datenlecks waren, verbieten. Auch Nutzer können ihre Passwörter über eine im Browser integrierte Funktion bei Have I been Pwned prüfen lassen. Dazu muss das Passwort weder auf der Have-I-been-Pwned-Seite eingegeben werden, noch schickt der Browser es an den Dienst.

Vielmehr fragt beispielsweise Firefox auf Basis des gehashten Passwortes eine ganze Bandbreite an Passwort-Hashes an und prüft dann lokal, ob der gleiche Passwort-Hash vorhanden ist. So werden weder die Passwörter der Nutzer verraten, noch werden diese dazu erzogen, ihre Passwörter wild auf Webseiten im Internet einzutippen. Mal sehen wie lange es dauert, bis der Stand der Technik auch beim Bayerischen Ministerium für Digitales ankommt.

IMHO ist der Kommentar von Golem.de [IMHO = In My Humble Opinion (Meiner bescheidenen Meinung nach)]